Claude Code 2.1.325 corrige un problema de seguridad en la decodificación de zstd y hace que los comandos Bash en el sandbox pidan permiso de forma predeterminada

Claude Code v2.1.325, publicado el 13 de noviembre de 2026, según sus notas de la versión, incluye una corrección de seguridad para la decodificación de respuestas comprimidas con zstd, controles más estrictos de permisos y del sandbox, y una larga lista de correcciones.

Cambios que pueden afectar a las configuraciones existentes:

• De forma predeterminada, los comandos Bash en el sandbox ahora siguen el flujo normal de permisos. Establece sandbox.autoAllowBashIfSandboxed: true para seguir ejecutándolos sin avisos; en configuraciones administradas que activan el sandbox, establécelo en la fuente administrada de mayor prioridad.
• Los comandos de git de solo lectura piden permiso primero en un repositorio que no sea del proyecto ni de confianza; indicarlo con --add-dir (no con la opción additionalDirectories) evita el aviso.
• Las tareas programadas y /loop piden permiso antes de ejecutar una habilidad que declare allowed-tools o hooks; añade Skill(name) a permissions.allow para ejecutarla sin supervisión.
• La opción «Permitir siempre» en los hosts de Desktop, IDE y SDK ofrece una regla por sí sola únicamente cuando guardarla permitiría volver a ejecutar ese comando, por lo que una tarea programada que dependiera de ella ahora podría quedar a la espera de una respuesta.
• El sandbox rechaza las escrituras en la configuración, las habilidades, los agentes, los comandos y los hooks de .claude en los directorios añadidos, igual que ya lo hace en la carpeta de inicio.
• Se rechaza git bisect run, git maintenance register|start y los comandos de configuración de scalar en una sesión o agente de worktree aislado.
• Los paquetes MCP de plugins (.mcpb, .dxt) se descomprimen en el directorio de plugins; pluginDigests está obsoleto y se ignora; las carpetas .claude/skills de los plugins indicados con --plugin-dir ya no se cargan desde una sesión iniciada en un directorio superior.
• ref en Marketplace acepta el ID completo de cualquier commit; los clientes anteriores a esta versión no pueden clonar un pin de este tipo. Las descargas de plugins usan un túnel CONNECT cuando ALL_PROXY es el único proxy configurado, y ahora fallan si el proxy rechaza CONNECT.
• claude remote-control termina con el estado 4 cuando se detiene por sí solo y con el 69 cuando no puede registrarse.
• CLAUDE_CODE_MAX_CONTEXT_TOKENS también establece la ventana de contexto de los IDs de modelos claude- no reconocidos, como un alias de una pasarela.

Las correcciones de permisos y del sandbox abarcan casos en los que un comando Bash compuesto podía ejecutarse sin pedir permiso, una regla de permiso de Bash podía ejecutar un programa distinto del que indica, algunas reglas de denegación y de solicitud no se aplicaban, las reglas de denegación relativas como Read(./.env) dejaban de cubrir el proyecto después de un cd, y el sandbox de Bash no protegía por completo la configuración, los hooks y la carpeta compartida de git de un worktree. Varias correcciones afectan a la publicación de Artifact en páginas visibles fuera de una organización.

Otras novedades: en VS Code, sugerencias de instrucciones (Tab las acepta) y un inicio de sesión en Console que no crea una clave API; un consejo junto al indicador de actividad sobre cómo volver a ejecutar una celda del notebook; una indicación debajo de los errores bloqueados por políticas para ejecutar /rewind o /clear. El resto son correcciones en el inicio de sesión, las tareas y la solicitud de información de MCP, los modelos de subagentes, la reanudación de sesiones, los eventos de OpenTelemetry y el comportamiento en Windows y Linux.